Red Hat JBoss Enterprise Application Platform 6.3.3 を提供し、多数のセキュリティ問題と複数のバグを修正し、多様な拡張機能を追加する、更新済みのパッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

RESTEasy DocumentProvider が、 external-parameter-entities と external-general-entities の機能を適切に設定していないため、外部エンティティが拡張される可能性があることが、判明しました。RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者が、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取り、より高度な別の XML eXternal Entity（XXE）攻撃をさらに仕掛ける可能性があります。(CVE-2014-7839)

ロールベースアクセスコントロール（RBAC）の実装が、特定の管理アクションを行うためにメンテナーの役割を必要としているすべての承認条件を、充分に検証していないことが判明しました。メンテナーの役割を持つ認証されているユーザーが、この欠陥を利用して、他の方法では書き込むことができない限定された一連の属性とその値を、追加、変更、または未定義にする可能性があります。
(CVE-2014-7849)

JBoss Application Server（WildFly）の JacORB サブシステムが、security-domain 属性の socket-binding-ref 秘密度分類を間違って割り当てていることが判明しました。認証されたユーザーが、その役割で security-domain-ref ではなく socket-binding-ref の秘密度分類がある属性にアクセスできる場合、この欠陥を利用して、 security-domain 属性に存在する機密情報にアクセスする可能性があります。(CVE-2014-7853)

org.jboss.security.plugins.mapping.JBossMappingManager の実装が、未定義のセキュリティドメインを処理する際に、使用できる場合にデフォルトのセキュリティドメインに戻ることが見つかりました。定義されたデフォルトのドメインで認証情報が有効であり、想定されるアプリケーションドメインでその役割が有効な場合に、ユーザーが、他の場合には不可能な、アクションを実行する可能性があります。JBossMappingManager が、 SAML2 STS ログインモジュールを使用している場合に、この問題を露呈していました。これは、PicketLink Trust SecurityActions の実装が、コンテキストを定義する際に、ハードコーディングされたデフォルト値を使用していたためです。(CVE-2014-7827)

スレッドローカルな変数に保存されているカンバセ―ション状態の情報が、特定の状況でカンバセ―ションの終了時に正しくサニタイズされていないことが判明しました。これにより、競合状態が引き起こされることがあるため、以前のカンバセ―ションの機密情報が現在のカンバセ―ションに漏洩する可能性があります。(CVE-2014-8122)

Red Hat は、CVE-2014-8122 の問題を報告してくれた JProfessionals の Rune Steinseth 氏に感謝の意を表します。CVE-2014-7849 と CVE-2014-7853 の問題は Red Hat JBoss Enterprise アプリケーションプラットフォームチームの Darran Lofthouse 氏により、 CVE-2014-7827 の問題は Red Hat 品質エンジニアリングチームの Ondra Lukas 氏により発見されました。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.3.2 を置き換え、バグ修正および拡張機能を提供します。
これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

Red Hat Enterprise Linux 6 での Red Hat JBoss Enterprise Application Platform 6.3 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることを推奨します。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 6：JBoss EAP（RHSA-2015:0217）

medium Nessus プラグイン ID 81340

変更ログが見つかりません